TheWizards, ortada küresel rakip saldırılar için ‘Spellbinder’

ESET araştırmacıları, 2022’den beri Asya ve Orta Doğu’daki varlıkları aktif olarak hedefleyen “TheWizards” olarak adlandırılan Çin’e uyumlu bir tehdit aktörü tarafından kullanılan sofistike saldırı tekniklerini ortaya çıkardılar.

Grup, IPv6 SLAAC sahtekarlığı kullanarak ortada düşman (AITM) saldırıları gerçekleştiren ve saldırganların kötü amaçlı sunuculara meşru yazılım güncellemelerini yönlendirmesine olanak tanıyan Spellbinder adlı özel bir yanal hareket aracı kullanıyor.

Çin’e uyumlu APT Group’un sofistike saldırı altyapısı

TheWizards, öncelikle Filipinler, Kamboçya, Birleşik Arap Emirlikleri, Anakara Çin ve Hong Kong’daki kurbanlara odaklanan kapsamlı bir saldırı stratejisi geliştirdi.

– Reklamcılık –

ESET telemetrisine göre, grup bu bölgelerdeki bireyleri, kumar şirketlerini ve çeşitli kuruluşları hedefliyor.

Saldırı altyapıları, trafiği engellemek ve güncelleme protokollerini meşru Çin yazılımından saldırgan kontrollü sunuculara yönlendirmek için uzlaşmış ağlara Spellbinder’ın dağıtılmasını içerir.

Saldırganlar daha sonra, tehlikeli sistemlerde kötü niyetli .NET modülleri yürütmek için uzaktan kumandalara bağlanan modüler bir implant olarak işlev gören imza arka kapıları olan Wizardnet’i teslim eder.

ESET tarafından belgelenen yakın tarihli bir durumda, Tencent QQ yazılımının güncelleme süreci kötü amaçlı yazılımları teslim etmek için kaçırıldı.

ESET araştırmacısı Facundo Muñoz, “Araştırmamız, ortada düşman saldırıları yapmak için tasarlanmış saldırganlar tarafından kullanılan bir aracı keşfetmemize yol açtı” dedi.

Spellbinder AITM mekanizmasının teknik analizi

Spellbinder, IPv4 ve IPv6’nın bir arada bulunmasında yaygın olarak gözden kaçan ağ yanlış yapılandırmalarını kullanan bir IPv6 SLAAC taklit tekniği kullanır.

Araç, ağdaki “Tüm Düğümler” e Çok Noktaya Yayın Yönlendirici Reklam Paketleri gönderir ve IPv6 olan Windows makinelerinin RA iletisinde sağlanan bilgileri kullanarak otomatikleştirmesine neden olur.

Saldırı vektörü, IPv6’daki ağ keşif protokolünü kullanır ve Spellbinder kendisini IPv6 özellikli bir yönlendirici olarak reklam yapar. Çin Telekom Omurgası’ndan AS4134’ün bir parçası olan belirli DNS Sunucusu adresleri (240E: 56: 4000: 8000 :: 11 ve 240E: 56: 4000: 8000 :: 22) sağlar.

DNS sorguları, Tencent, Baidu ve diğerleri gibi popüler Çin platformları da dahil olmak üzere hedeflenen alanlar için verildiğinde, trafiği saldırgan kontrolündeki IP adreslerine yönlendiren DNS cevap mesajları gönderir.

Bu teknik, The Wizards’ın ISS uzlaşmasına ihtiyaç duymadan gizli ortadaki adam saldırıları yapmalarını sağlar ve bu da hedeflenen kuruluşlar içindeki yanal hareket için özellikle etkili olmasını sağlar.

Çin güvenlik firmasına ve küresel etkiye bağlantılar

ESET’in soruşturması, The Wizards ve Çinli bir siber güvenlik şirketi olan Sichuan Dianke Network Güvenlik Teknolojisi (UPSEC olarak da bilinir) arasındaki bağlantıları ortaya çıkardı.

TheWizards öncelikle Windows Systems için Wizardnet Backdoor’u kullanırken, Hakleting Sunucusu da Android cihazlara Darknights adlı bir arka kapı sunacak şekilde yapılandırılmıştır.

NCSC UK’ye göre UPSEC, Tibet ve Uygur topluluklarını hedefleyen kötü amaçlı yazılımlarla bağlantılıdır. Intelligence Online, UPSEC’i, altyapıyı The Wizards’ın operasyonlarıyla paylaşan Darknights Backdoor (Darknimbus olarak da bilinir) tedarikçisi olarak tanımladı.

The Wizards’ın araçlarının ve taktiklerinin sofistike doğası, dünya çapındaki kuruluşlar için önemli bir tehdidi temsil ediyor.

Popüler Çin uygulamalarından meşru yazılım güncelleme mekanizmalarını ele geçirme yetenekleri, geleneksel güvenlik önlemlerini atlayabilen gelişmiş bir kalıcı tehdit kabiliyeti göstermektedir.

Grubun 2022’deki ilk keşfinden bu yana Spellbinder gibi araçların sürekli gelişimi, güvenlik ekiplerinin yakından izlemesi gereken devam eden geliştirme ve operasyonel faaliyeti gösteriyor.

Uzlaşma Göstergeleri (IOCS):

Dosyalar

Ağ

Bu haberi ilginç bul! Anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin!